Почему после копирования только что сгенерированного пароля в браузере история буфера обмена всё ещё хранит открытый текст

После генерации пароля обычный следующий шаг — нажать «Копировать» на странице и вставить строку в форму регистрации, в веб-интерфейс роутера или в панель сервера. Подпись кнопки звучит так, будто текст уйдёт только туда, куда вы решили. Порядок обратный. Страница вызывает navigator.clipboard.writeText и отдаёт строку операционной системе. Вставка — это уже позднее чтение. Между двумя действиями открытый текст больше не принадлежит только этой вкладке.

Так же устроен генератор паролей UsePwd. В случайном режиме длина от 6 до 128 символов, по умолчанию 16; короче 8 символов страница помечает как более слабый вариант. Символы выбираются в текущей вкладке через Web Crypto. Страница открывается сразу, регистрироваться не нужно. После успешного копирования всплывает «Скопировано в буфер обмена.» — имеется в виду системный буфер, а не «только следующее поле». В теле запроса к UsePwd этой строки нет. Страница О безопасности отвечает, уходит ли открытый текст из браузера на сторону UsePwd. Здесь другой слой: когда вкладка уже сделала своё, может ли операционная система всё ещё держать ту же строку.

Это не тот же слой, что «новый ключ нельзя снова слать в чат». Там вы сами вставляете API-ключ в канал, который ищется, синхронизируется и архивируется; см. После утечки переменных окружения в облаке новый ключ нельзя снова слать в чат. Здесь момент раньше вставки в чат: вы ещё не открыли Telegram, а Win+V или другое устройство с той же учётной записью уже может прочитать только что скопированную строку.

И Windows 10, и Windows 11 дают журнал буфера обмена. В первый раз нажмите клавишу с логотипом Windows+V и выберите «Включить». Дальше каждая обычная копия подходящего формата попадает в список. В статье поддержки Microsoft сказано: журнал хранит до 25 записей; каждая — не больше 4 МБ; среди форматов есть текст, HTML и растр. Старые незакреплённые пункты вытесняются, чтобы освободить место новым.

Перезагрузка очищает незакреплённый журнал. Закреплённые пункты — исключение: они переживают перезагрузку и не вытесняются ради новых записей. Чтобы удалить одну запись, откройте Win+V, рядом с пунктом нажмите «Дополнительно» и удалите. Чтобы разом очистить незакреплённое на устройстве и в облаке, идите в «Параметры → Система → Буфер обмена → Очистить данные буфера обмена» или выберите «Очистить всё» вверху панели журнала. Эти шаги есть в статье Microsoft Support «Using the clipboard». Их можно повторить на своём компьютере.

Пароль обычно гораздо меньше 4 МБ, поэтому длина не фильтр. Шестнадцать случайных символов, сто двадцать восемь случайных символов или несколько паролей, скопированных одним блоком через перевод строки, входят в журнал как текст. Снимок экрана тоже идёт через буфер: если вы сняли пароль, который ещё виден на экране, растр может занять одну из 25 ячеек. То, что в панели виден текст, не значит, что журнал хранит только текст.

Междоустройственная синхронизация Windows привязана к учётной записи Microsoft или к рабочей. Путь: «Параметры → Система → Буфер обмена». Включите журнал буфера обмена на всех устройствах. Автоматическая синхронизация загружает копируемый текст в облако и доставляет его на другие устройства с тем же входом. Ручная ждёт, пока вы нажмёте Win+V и нажмёте «Синхронизировать» у нужной записи — только тогда текст уйдёт. Оба режима описаны в той же статье поддержки Microsoft. Разница не в том, «попадёт ли когда-нибудь в облако», а в том, «каждая копия или только те, что вы отметили».

У устройств Apple другая труба. Универсальный буфер обмена стоит на Handoff: устройства с одной учётной записью iCloud, которые находятся рядом, копируют на одном и вставляют на другом. В статье Apple «Handoff security» (на странице указана дата 18 февраля 2021 года) есть два факта, которые можно сверить с продуктом. Первый: содержимое буфера по умолчанию участвует в универсальном обмене, пока разработчик приложения явно не отказался. Второй: приложения могут читать буфер до того, как пользователь вставит; при включённом универсальном буфере такое чтение распространяется на приложения на других устройствах того же пользователя.

Сама передача шифруется: Handoff объявляет себя по Bluetooth Low Energy, полезная нагрузка защищается способом, близким к iMessage, более крупные данные идут по TLS на одноранговом Wi-Fi. Это говорит лишь «посторонний на пути, скорее всего, не разберёт», а не «общий iPad в квартире не прочитает». Модель доверия — учётная запись, не один компьютер. Общий семейный Apple ID или один вход Microsoft на рабочем и домашнем ПК расширяют круг машин, где только что скопированный пароль снова читается открытым текстом.

В документации Win32 Microsoft отдельно перечисляет форматы облачного буфера и журнала. Если приложение не хочет, чтобы его данные попали в журнал или на другие устройства, оно регистрирует и пишет такие форматы: ExcludeClipboardContentFromMonitorProcessing убирает из журнала и из синхронизации все форматы этой записи; CanIncludeInClipboardHistory со значением DWORD 0 не идёт в журнал, со значением 1 явно просит попасть в журнал; CanUploadToCloudClipboard со значениями 0 и 1 управляет только облачной синхронизацией, не локальным журналом. Справка: Microsoft Learn, «Clipboard Formats».

Менеджеры паролей и диспетчер учётных данных Windows идут по этому нативному пути. У веб-страницы вызов navigator.clipboard.writeText такой возможности не даёт: она пишет текст и не может прикрепить эти метки исключения. Поэтому копирование с сайта для системы и для сторонних утилит буфера — обычный текст. Это не «сайт забыл зашифровать». Это граница Clipboard API, которой странице позволено пользоваться: она заканчивается на тексте.

UsePwd — не хранилище паролей и не выдаёт учётные записи. Справа в шапке только переключатель языка. Генератор и проверка пароля открываются сразу. Проверка оценивает стойкость на этом устройстве и сверяет открытый список слабых паролей из утечек, который прилагается к странице. Проверяемый пароль не загружается; это не Have I Been Pwned и не поиск по всей сети. Эти обещания закрывают вопрос «попал ли пароль в запрос UsePwd». Они не закрывают вопрос, записала ли Windows ту же строку в Win+V. Оба факта могут быть верны одновременно: панель Network чистая, а в журнале буфера всё ещё открытый текст.